The version of Oracle WebLogic Server installed on the remote host is affected by multiple vulnerabilities:

  - XML external entity (XXE) vulnerability in the SqlXmlUtil code     in Apache Derby before 10.12.1.1, when a Java Security Manager     is not in place, allows context-dependent attackers to read     arbitrary files or cause a denial of service (resource     consumption) via vectors involving XmlVTI and the XML datatype.
    (CVE-2015-1832)

  - Bouncy Castle BC 1.54 - 1.59, BC-FJA 1.0.0, BC-FJA 1.0.1 and     earlier have a flaw in the Low-level interface to RSA key pair     generator, specifically RSA Key Pairs generated in low-level API     with added certainty may have less M-R tests than expected. This     appears to be fixed in versions BC 1.60 beta 4 and later,     BC-FJA 1.0.2 and later. (CVE-2018-1000180)

  - Vulnerability in the Oracle WebLogic Server component of Oracle     Fusion Middleware (subcomponent: WLS Core Components). Supported     versions that are affected are 10.3.6.0, 12.1.3.0 and 12.2.1.3.
    Easily exploitable vulnerability allows high privileged attacker     with network access via HTTP to compromise Oracle WebLogic     Server. Successful attacks of this vulnerability can result in     unauthorized creation, deletion or modification access to     critical data or all Oracle WebLogic Server accessible data as     well as unauthorized read access to a subset of Oracle WebLogic     Server accessible data and unauthorized ability to cause a hang     or frequently repeatable crash (complete DOS) of Oracle WebLogic     Server. (CVE-2019-2452)

  - Vulnerability in the Oracle WebLogic Server component of Oracle     Fusion Middleware (subcomponent: WLS Core Components). Supported     versions that are affected are 10.3.6.0, 12.1.3.0 and 12.2.1.3.
    Difficult to exploit vulnerability allows unauthenticated     attacker with network access via T3 to compromise Oracle     WebLogic Server. While the vulnerability is in Oracle WebLogic     Server, attacks may significantly impact additional products.
    Successful attacks of this vulnerability can result in     unauthorized update, insert or delete access to some of Oracle     WebLogic Server accessible data as well as unauthorized read     access to a subset of Oracle WebLogic Server accessible data and     unauthorized ability to cause a partial denial of service     (partial DOS) of Oracle WebLogic Server. (CVE-2019-2418)

  - Vulnerability in the Oracle WebLogic Server component of Oracle     Fusion Middleware (subcomponent: WLS - Web Services). The     supported version that is affected is 10.3.6.0. Easily     exploitable vulnerability allows low privileged attacker with     network access via HTTP to compromise Oracle WebLogic Server.
    Successful attacks of this vulnerability can result in     unauthorized read access to a subset of Oracle WebLogic Server     accessible data and unauthorized ability to cause a partial     denial of service (partial DOS) of Oracle WebLogic Server.
    (CVE-2019-2395)

  - Vulnerability in the Oracle WebLogic Server component of Oracle     Fusion Middleware (subcomponent: Application Container - JavaEE).     The supported version that is affected is 12.2.1.3. Easily     exploitable vulnerability allows unauthenticated attacker     with network access via HTTP to compromise Oracle WebLogic     Server. Successful attacks of this vulnerability can result in     unauthorized read access to a subset of Oracle WebLogic Server     accessible data. (CVE-2019-2441)

  - Vulnerability in the Oracle WebLogic Server component of Oracle     Fusion Middleware (subcomponent: WLS - Deployment). Supported     versions that are affected are 10.3.6.0, 12.1.3.0 and 12.2.1.3.
    Easily exploitable vulnerability allows low privileged attacker     with network access via HTTP to compromise Oracle WebLogic     Server. Successful attacks of this vulnerability can result in     unauthorized update, insert or delete access to some of Oracle     WebLogic Server accessible data. (CVE-2019-2398)

  - Legion of the Bouncy Castle Java Cryptography APIs versions prior     to 1.60 are affected by CWE-470: Use of Externally-Controlled     Input to Select Classes or Code ('Unsafe Reflection') flaw in     XMSS/XMSS^MT private key deserialization routines. This allows     an attacker to force execution of arbitrary code. Successful     attack could be conducted via usage of a handcrafted private key     object with references to unexpected classes which allow     malicious commands execution. (CVE-2018-1000613)

  - Vulnerability in the Oracle WebLogic Server component of Oracle     Fusion Middleware (subcomponent: WLS - Web Services). Supported     versions that are affected are 12.1.3.0 and 12.2.1.3. Easily     exploitable vulnerability allows unauthenticated attacker with     network access via HTTP to compromise Oracle WebLogic Server.
    Successful attacks of this vulnerability can result in     unauthorized access to critical data or complete access to all     Oracle WebLogic Server accessible data. (CVE-2018-3246)

  - In Apache Derby 10.3.1.4 to 10.14.1.0, a specially-crafted     network packet can be used to request the Derby Network Server     to boot a database whose location and contents are under the     user's control. If the Derby Network Server is not running with     a Java Security Manager policy file, the attack is successful.
    If the server is using a policy file, the policy file must     permit the database location to be read for the attack to work.
    The default Derby Network Server policy file distributed with     the affected releases includes a permissive policy as the     default Network Server policy, which allows the attack to work.
    (CVE-2018-1313)

遠端主機上安裝的 Oracle WebLogic Server 版本受到多個弱點影響：- 在 Apache Derby 10.12.1.1 之前的版本中，SqlXmlUtil 程式碼內的 XML 外部實體 (XXE) 弱點在 Java Security Manager 未備妥時，可讓內容相依的攻擊者透過與 XmlVTI 和 XML 資料類型相關的向量，讀取任意檔案或造成拒絕服務 (資源消耗)。(CVE-2015-1832) - Bouncy Castle BC 1.54 - 1.59、BC-FJA 1.0.0、BC-FJA 1.0.1 和更舊版本在 RSA 金鑰組產生器的低層級介面中存在一個缺陷，具體而言，在低層級 API 中產生的 RSA 金鑰組具有更高的確定性，所需要的 M-R 測試可能比預期的更少。這似乎已在 BC 1.60 beta 4 版和更新版本，以及 BC-FJA 1.0.2 版和更新版本中修正。(CVE-2018-1000180) - Oracle Fusion Middleware 的 Oracle WebLogic Server 元件 (子元件：WLS Core Components)中有弱點。受影響的支援版本是 10.3.6.0、12.1.3.0 及 12.2.1.3。可輕易利用的弱點，允許具有網路存取權的高權限攻擊者透過 HTTP 來入侵 Oracle WebLogic Server。成功攻擊此弱點可能會導致未經授權對重要資料或所有 Oracle WebLogic Server 可存取的資料進行建立、刪除或修改存取，和未經授權對 Oracle WebLogic Server 可存取資料子集進行讀取存取，以及未經授權造成 Oracle WebLogic Server 懸置或經常重複性當機 (完全 DOS) 的能力。(CVE-2019-2452) - Oracle Fusion Middleware 的 Oracle WebLogic Server 元件 (子元件：WLS Core Components)中有弱點。受影響的支援版本是 10.3.6.0、12.1.3.0 及 12.2.1.3。難以利用的弱點允許具有網路存取權的未經驗證的攻擊者透過 T3 來入侵 Oracle WebLogic Server。雖然弱點是在 Oracle WebLogic Server 中，但攻擊可能會顯著影響其他的產品。成功攻擊此弱點可能會導致未經授權對某些 Oracle WebLogic Server 可存取資料進行更新、插入或刪除存取，和未經授權對 Oracle WebLogic Server 可存取資料子集進行讀取存取，以及未經授權造成 Oracle WebLogic Server 部分拒絕服務 (部分 DOS) 的能力。(CVE-2019-2418) - Oracle Fusion Middleware 的 Oracle WebLogic Server 元件 (子元件：WLS - Web Services)中有弱點。受影響的支援版本是 10.3.6.0 版。可輕易利用的弱點，允許具有網路存取權的低權限攻擊者透過 HTTP 來入侵 Oracle WebLogic Server。成功攻擊此弱點可導致未經授權對 Oracle WebLogic Server 可存取資料子集進行讀取存取，以及未經授權造成 Oracle WebLogic Server 部分拒絕服務 (部分 DOS) 的能力。(CVE-2019-2395) - Oracle Fusion Middleware 的 Oracle WebLogic Server 元件 (子元件：Application Container - JavaEE)中有弱點。受影響的支援版本是 12.2.1.3 版。可輕易利用的弱點，允許具有網路存取權的未經驗證的攻擊者透過 HTTP 來入侵 Oracle WebLogic Server。成功攻擊此弱點可導致未經授權對 Oracle WebLogic Server 可存取資料子集進行讀取存取。(CVE-2019-2441) - Oracle Fusion Middleware 的 Oracle WebLogic Server 元件 (子元件：WLS - Deployment)中有弱點。受影響的支援版本是 10.3.6.0、12.1.3.0 及 12.2.1.3。可輕易利用的弱點，允許具有網路存取權的低權限攻擊者透過 HTTP 來入侵 Oracle WebLogic Server。成功攻擊此弱點可導致未經授權對某些 Oracle WebLogic Server 可存取資料進行更新、插入或刪除存取。(CVE-2019-2398) - Legion of the Bouncy Castle Java Cryptography API 1.60 之前的版本受到 CWE-470 的影響：在 XMSS/XMSS^MT 私密金鑰還原序列化常式中存在使用外部控制的輸入選取類別或程式碼 (「不安全的反射」) 的缺陷。這可讓攻擊者強制執行任意程式碼。成功的攻擊可以透過使用特製的私密金鑰物件，並參考允許惡意命令執行的非預期類別進行。(CVE-2018-1000613) - Oracle Fusion Middleware 的 Oracle WebLogic Server 元件 (子元件：WLS - Web Services)中有弱點。受影響的支援版本是 12.1.3.0 及 12.2.1.3。可輕易利用的弱點，允許具有網路存取權的未經驗證的攻擊者透過 HTTP 來入侵 Oracle WebLogic Server。成功攻擊此弱點可導致重大資料遭未經授權存取，或 Oracle WebLogic Server 所有可存取的資料遭到完整存取。(CVE-2018-3246) - 在 Apache Derby 10.3.1.4 到 10.14.1.0 中，可以使用特製的網路封包要求 Derby Network Server 啟動其位置和內容處於使用者掌控之下的資料庫。如果 Derby Network Server 未使用 Java Security Manager 原則檔案執行，則攻擊會成功。如果伺服器要使用原則檔案，該原則檔案必須允許讀取資料庫位置，攻擊才有作用。與受影響的版本一同散佈的預設 Derby Network Server 原則檔案包括一個寬鬆原則，該原則會作為預設 Network Server 原則，可讓攻擊作用。(CVE-2018-1313)

リモートホストにインストールされているOracle WebLogic Serverのバージョンは、複数の脆弱性による影響を受けます。- Javaセキュリティマネージャーが設定されていないとき、10.12.1.1より前のApache DerbyのSqlXmlUtilコードにおけるXML外部エンティティ（XXE）の脆弱性により、XmlVTIとXMLのデータタイプを含むベクトルを通じて、コンテキスト依存の攻撃者が任意のファイルを読み取ったり、サービス拒否（リソース消費）を引き起こしたりする可能性があります。（CVE-2015-1832）- Bouncy Castle BC 1.54～1.59、BC-FJA 1.0.0、BC-FJA 1.0.1およびそれ以前のバージョンでは、RSAキーペアジェネレーターへの低レベルインターフェイスに欠陥があります。特に確実性が高められた低レベルAPIで生成されたRSAキーペアでは、M-Rテストが予想より少なくなる場合があります。これは、バージョンBC 1.60ベータ4以降、BC-FJA 1.0.2以降で修正される予定です。（CVE-2018-1000180）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS Core Components）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。容易に悪用可能な脆弱性により、権限の高い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性を利用した攻撃が成功すると、重要なデータやOracle WebLogic Serverがアクセスできるすべてのデータを権限なしで作成、削除、変更される可能性があることに加えて、承認なしにOracle WebLogic Serverがアクセスできるデータのサブセットに読み取りアクセスを実行したり、Oracle WebLogic Serverでハングを引き起こしたり、頻繁にクラッシュを繰り返す（完全なDOS）可能性があります。（CVE-2019-2452）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS Core Components）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。悪用が難しい脆弱性ですが、認証されていない攻撃者がT3を介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。脆弱性があるのはOracle WebLogic Serverですが、攻撃により別の製品にも重大な影響を与える可能性があります。この脆弱性に対する攻撃が成功すると、一部のOracle WebLogic Serverのアクセス可能データに対する権限のない更新アクセス、挿入アクセス、削除アクセス、さらに、Oracle WebLogic Serverのアクセス可能データのサブセットに対する権限のない読み取りアクセスにつながり、権限なくOracle WebLogic Serverの部分的サービス拒否（部分的DOS）を引き起こす可能性があります。（CVE-2019-2418）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Web Services）。影響を受けるサポート対象のバージョンは、10.3.6.0です。容易に悪用可能な脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Serverのアクセス可能データのサブセットに対する権限のない読み取りアクセスにつながり、権限なくOracle WebLogic Serverの部分的サービス拒否（部分的DOS）を引き起こす可能性があります。（CVE-2019-2395）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：アプリケーションコンテナ - JavaEE）。影響を受けるサポート対象のバージョンは、12.2.1.3です。容易に悪用可能な脆弱性により、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogicサーバーがアクセスできるサブセットのデータが、権限なしで読み取りアクセスされる可能性があります。（CVE-2019-2441）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Deployment）。影響を受けるサポート対象のバージョンは、10.3.6.0、12.1.3.0、12.2.1.3です。容易に悪用可能な脆弱性により、権限の低い攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、Oracle WebLogic Serverがアクセスできるいくつかのデータが、権限なしで更新、挿入または削除される可能性があります。（CVE-2019-2398) - 1.60より前のBouncy Castle Java Cryptography APIバージョンは、CWE-470の影響を受けます。XMSS/XMSS^MT秘密鍵の逆シリアル化ルーチンでクラスやコードを選択するための外部制御入力（「安全でないリフレクション」）の使用における欠陥。これにより、攻撃者が任意のコードを強制する可能性があります。悪意のあるコマンドを実行することが可能な、予期しないクラスへの参照を持つハードコードされた秘密鍵オブジェクトを使用して攻撃が仕掛けられます。（CVE-2018-1000613）- Oracle Fusion MiddlewareのOracle WebLogic Serverコンポーネントの脆弱性（サブコンポーネント：WLS - Web Services）。影響を受けるサポート対象のバージョンは、12.1.3.0および12.2.1.3です。容易に悪用可能な脆弱性により、認証されていない攻撃者がHTTPを介してネットワークにアクセスし、Oracle WebLogicサーバーを侵害する可能性があります。この脆弱性に対する攻撃が成功すると、重要なデータへの認証されていないアクセスが可能になったり、Oracle WebLogicサーバーがアクセスできるすべてのデータに完全にアクセスできるようになったりします。（CVE-2018-3246）- Apache Derby 10.3.1.4から10.14.1.0では、特別に細工されたネットワークパケットを使用することによって、場所とコンテンツがユーザーの管理下にあるデータベースを起動するようにDerby Network Serverにリクエストされる可能性があります。Derby Network Serverの実行にJavaセキュリティマネージャーポリシーファイルが使用されていない場合に、攻撃が成功します。サーバーがポリシーファイルを使用している場合に、攻撃を成功させるには、ポリシーファイルによってデータベースの場所の読み取りが許可されている必要があります。影響を受けるリリースで配布されるデフォルトのDerby Network Serverポリシーファイルでは、デフォルトのNetwork Serverポリシーとしてアクセス権を与えるポリシーが含まれるため、攻撃の実行が可能になります。（CVE-2018-1313）

远程主机上安装的 Oracle WebLogic 服务器版本受到多个漏洞的影响：- 在 Apache Derby 10.12.1.1 之前的版本中，SqlXmlUtil 代码内的 XML 外部实体 (XXE) 漏洞在 Java Security Manager 未备妥时，可让环境相关的攻击者通过与 XmlVTI 和 XML 数据类型相关的向量，读取任意文件或造成拒绝服务（资源消耗）。(CVE-2015-1832) - Bouncy Castle BC 1.54 - 1.59、BC-FJA 1.0.0、BC-FJA 1.0.1 及之前版本在 RSA 密钥组生成器的低层级接口中存在缺陷，具体而言，在低层级 API 中产生的 RSA 密钥组具有更高的确定性，所需要的 M-R 测试可能比预期更少。这似乎已在 BC 1.60 beta 4 版和更新版本，以及 BC-FJA 1.0.2 版和更新版本中修复。CVE-2018-1000180 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS Core 组件）。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的高特权攻击者通过 HTTP 危害 Oracle WebLogic Server。成功攻击此漏洞可导致在未经授权的情况下创建、删除或修改对关键数据或所有 Oracle WebLogic Server 可访问数据的访问权限，以及对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 挂起，或频繁出现崩溃（完全 DOS）。CVE-2019-2452 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS Core 组件）。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。难以利用的漏洞允许具有网络访问权限的未经身份验证的攻击者通过 T3 危害 Oracle WebLogic Server。虽然该漏洞是在 Oracle WebLogic Server 中，但攻击也会对附加产品造成巨大影响。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle WebLogic Server 可访问数据的访问权限，以及对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 部分拒绝服务（部分 DOS）。CVE-2019-2418 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS - Web 服务）。支持的版本中受影响的是 10.3.6.0。可轻易遭到利用的漏洞，允许具有网络访问权的低特权攻击者通过 HTTP 危害 Oracle WebLogic 服务器。成功攻击此漏洞可导致对 Oracle WebLogic Server 可访问数据子集进行未授权的读取访问，并且可未经授权造成 Oracle WebLogic Server 部分拒绝服务（部分 DOS）。CVE-2019-2395 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件（子组件：应用程序容器 - JavaEE）中有漏洞。支持的版本中受影响的是 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。此漏洞的成功攻击能导致 Oracle WebLogic 服务器可访问数据子集的未授权读取访问。CVE-2019-2441 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件（子组件：WLS - 部署）中有漏洞。受影响的支持版本为 10.3.6.0、12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的低特权攻击者通过 HTTP 危害 Oracle WebLogic 服务器。成功攻击此漏洞可导致在未经授权的情况下更新、插入或删除某些 Oracle WebLogic Server 可访问数据的访问权限。(CVE-2019-2398) - Legion of the Bouncy Castle Java Cryptography API 1.60 之前的版本受到 CWE-470 的影响：在 XMSS/XMSS^MT 私钥反序列化例程中存在使用外部控制的输入选取类或代码（“非安全反射”）的缺陷。这可让攻击者强制执行任意代码。成功的攻击可通过使用特制的私钥对象，并参考允许恶意命令执行的非预期类进行。CVE-2018-1000613 - Oracle Fusion 中间件的 Oracle WebLogic 服务器组件中的漏洞（子组件：WLS - Web 服务）。受影响的支持版本为 12.1.3.0 和 12.2.1.3。可轻易遭到利用的漏洞，允许具有网络访问权的未经身份验证的攻击者通过 HTTP 危害 Oracle WebLogic Server。此漏洞的成功攻击能导致关键数据的未授权访问或所有 Oracle WebLogic 服务器可访问数据的完全访问。(CVE-2018-3246) - 在 Apache Derby 10.3.1.4 到 10.14.1.0 中，可使用特制的网络数据包请求 Derby Network Server 启动其位置和内容处于用户掌控之下的数据库。如果 Derby Network Server 未使用 Java Security Manager 策略文件执行，则攻击会成功。如果服务器要使用策略文件，该策略文件必须允许读取数据库位置，攻击才能起作用。与受影响的版本一同分发的默认 Derby Network Server 策略文件包括一个宽松策略，该策略会作为默认 Network Server 策略，可让攻击起作用。(CVE-2018-1313)

ID	Name	Product	Family	Published	Updated	Severity
121226	Oracle WebLogic Server Multiple Vulnerabilities (January 2019 CPU)	Nessus	Misc.	1/17/2019	12/5/2022	critical
121226	Oracle WebLogic Server Multiple Vulnerabilities (January 2019 CPU)	Nessus	Misc.	1/17/2019	12/5/2022	critical
121226	Oracle WebLogic Serverの複数の脆弱性（2019年1月CPU）	Nessus	Misc.	1/17/2019	12/5/2022	critical
121226	Oracle WebLogic Server Multiple Vulnerabilities (January 2019 CPU)	Nessus	Misc.	1/17/2019	12/5/2022	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical